feat(mandant): Betriebsmodus, Kundenverwaltung und Einstellungen (#22)

Zwei Betriebsmodi, ein Codepfad. src/server/mandant.ts ist die eine Stelle,
an der die Mandantenregel steht.

Der Review fand drei Blocker: die Lesemodelle wandten die Mandantensicht nicht
an, der Protokolleintrag des Moduswechsels stand außerhalb der Transaktion, und
Prüfung und Vollzug lagen so weit auseinander, dass zwei gleichzeitige Wechsel
beide durchliefen. Alle drei geschlossen, der letzte mit einem Advisory Lock.

336 Tests.

Closes #8

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

CHANGELOG.md

@@ -40,6 +40,16 @@ und dieses Projekt folgt [Semantic Versioning](https://semver.org/lang/de/).
 - Benutzerverwaltung für Administratoren: Rolle setzen, Konto abschalten, lokales Konto
   anlegen (#007)
 - Navigation zeigt nur, was die eigene Rolle darf (#007)
+- Betriebsmodus **Intern** und **Dienstleistung**, umschaltbar ohne Neustart. Im Modus Intern
+  erscheint die eigene Organisation nirgends; der Wechsel nimmt alle Geräte, Personen,
+  Abteilungen und Läufe mit, weil jede Zeile ohnehin schon eine Kunden-Zuordnung trägt (#008)
+- Bestätigungsdialog für den Moduswechsel, der die Folgen aus derselben Prüfung zeigt, die der
+  Wechsel danach durchsetzt (#008)
+- Kundenverwaltung im Modus Dienstleistung: anlegen, bearbeiten, archivieren statt löschen (#008)
+- Admin → Einstellungen: Betriebsmodus, Name der eigenen Organisation, globale Namensregeln,
+  Sperr-OU und die Anzeige der Adresse, die in den QR-Codes steckt (#008)
+- Navigation und Beschriftungen folgen dem Betriebsmodus — ein Codepfad, nur ein- und
+  ausgeblendete Einträge (#008)
 
 ### Sicherheit
 
@@ -62,3 +72,8 @@ und dieses Projekt folgt [Semantic Versioning](https://semver.org/lang/de/).
   `LESER` herabzustufen (#007)
 - Der letzte aktive Administrator kann sich weder herabstufen noch abschalten (#007)
 - Beim Abschalten eines Kontos werden laufende Sitzungen sofort ungültig (#007)
+- Im Modus Intern wird eine vom Client mitgeschickte Kunden-Zuordnung verworfen, nicht bloß
+  abgelehnt — es gibt in diesem Modus keine Kundenwahl (#008)
+- Der Rückweg nach Intern wird abgelehnt, solange mehr als ein nicht archivierter Kunde
+  existiert (#008)
+- Die eigene Organisation lässt sich nicht archivieren (#008)